Llevamos desde 2023 montando matrices de cumplimiento para clientes que usan o venden sistemas de inteligencia artificial, y en noviembre de 2025 tuvimos que tirar a la basura buena parte del trabajo de tres meses. No porque lo hubiéramos hecho mal: porque la Comisión movió las porterías a mitad del partido.
La mayoría de tablas que circulan por ahí siguen mostrando el cronograma que se diseñó en 2024, con agosto de 2026 como muro contra el que iba a chocar todo el mundo. Ese muro ya no existe en la misma forma. Y lo que ha ocupado su lugar es un sistema de plazos escalonado, condicionado, con letra pequeña y con al menos cuatro fechas que casi nadie incluye en sus resúmenes.
El calendario del AI Act reparte las obligaciones del Reglamento (UE) 2024/1689 en tramos sucesivos entre 2024 y 2030. Cambió en noviembre de 2025 porque la Comisión propuso retrasar los sistemas de alto riesgo hasta diciembre de 2027 y agosto de 2028, al no existir todavía los estándares técnicos que permiten acreditar conformidad.
Lo que sigue es la secuencia completa tal como la manejamos hoy en nuestro equipo: lo que ya venció, lo que se movió, lo que no se movió ni un día y lo que se estira hasta 2030. Con una advertencia que repetiremos varias veces porque importa: parte de esto todavía es propuesta, no derecho vigente.
Cómo era el cronograma original antes del Digital Omnibus
El Reglamento (UE) 2024/1689 se publicó en el Diario Oficial el 12 de julio de 2024 y entró en vigor veinte días después, el 1 de agosto. A partir de ahí, el legislador no activó la norma de golpe: la partió en tramos con periodos de gracia distintos según el riesgo que cada bloque de obligaciones pretendía controlar.
¿Por qué esa arquitectura escalonada? Porque prohibir prácticas que ya causan daño no exige preparación técnica, mientras que certificar un sistema de diagnóstico médico sí. Prisa donde había urgencia, margen donde había que construir infraestructura de conformidad.
Los hitos que ya se cumplieron: febrero y agosto de 2025
El 2 de febrero de 2025 se volvieron aplicables dos bloques. El primero, las prohibiciones del Capítulo II: puntuación social, reconocimiento de emociones en el trabajo y en centros educativos, scraping indiscriminado de imágenes faciales para crear bases de datos biométricas, técnicas subliminales manipuladoras. El segundo, mucho más ignorado y mucho más transversal: el artículo 4, que obliga a proveedores y responsables del despliegue a garantizar un nivel suficiente de alfabetización en IA entre su personal.
Ese artículo 4 es el que más sustos nos ha dado en auditorías. Es corto, no lleva anexo técnico asociado, no tiene certificación que lo acredite, y precisamente por eso casi nadie lo documentó a tiempo. De doce organizaciones que revisamos entre febrero y junio de 2025, nueve no tenían ni un registro de formación que pudieran enseñar a un inspector.
Seis meses más tarde, el 2 de agosto de 2025, se activó el segundo tramo: las obligaciones para modelos de propósito general del Capítulo V, el armazón de gobernanza (Oficina Europea de IA, Comité, autoridades nacionales notificantes y de vigilancia del mercado) y el régimen sancionador del artículo 99. Sí, las multas llevan siendo exigibles desde el verano de 2025 para la mayoría de incumplimientos. Volveremos sobre esto porque es el punto donde más confusión encontramos.
Por qué el diseño inicial concentraba casi todo en agosto de 2026
Si dibujas el esquema de 2024 en una línea temporal, el resultado es una joroba. El 2 de agosto de 2026 debía convertirse en la fecha de aplicación general: transparencia del artículo 50, sistemas del Anexo III sujetos a mayores exigencias (empleo, educación, crédito, servicios esenciales, migración, justicia, biometría), obligaciones de los responsables del despliegue, registro en la base de datos europea, evaluaciones de impacto en derechos fundamentales para entidades públicas.
Todo eso, el mismo día. Para miles de organizaciones simultáneamente. Con un detalle logístico que nadie había resuelto: los estándares armonizados que permiten presumir conformidad no estaban listos. El CEN-CENELEC, a través de su comité técnico conjunto, iba con retraso acumulado y las primeras normas útiles no se esperaban antes de 2026 avanzado.
Nosotros lo vimos venir desde el verano de 2025 y aun así nos equivocamos en el diagnóstico. Creíamos que la Comisión resolvería el atasco publicando guías interpretativas y acelerando la normalización, porque un aplazamiento formal parecía políticamente costoso después de haber vendido la norma como pionera mundial. Lo que ocurrió fue lo contrario: llegó la presión combinada de la industria, de varios Estados miembros y del propio informe Draghi sobre competitividad, y la Comisión eligió el camino que descartábamos. Cambiamos el modelo de planificación entero: ahora asumimos que cualquier fecha con dependencia técnica externa es provisional hasta que la dependencia se cumple.
La lección operativa, sin florituras: cuando una obligación depende de un estándar que no existe, el plazo de esa obligación tampoco existe de verdad.
Qué modificó el Digital Omnibus y por qué llegó cuando llegó
El 19 de noviembre de 2025, la Comisión Europea presentó el paquete de simplificación digital, con un capítulo específico dedicado al reglamento de inteligencia artificial. Es una propuesta legislativa: tiene que pasar por el Parlamento y el Consejo, y puede salir modificada o no salir. Cualquier guía que te presente sus fechas como derecho consolidado está adelantándose bastante a los hechos.
El aplazamiento del alto riesgo a diciembre de 2027 y agosto de 2028
El núcleo de la reforma parte en dos ese bloque. Los sistemas del Anexo III, los que se clasifican por su finalidad de uso, pasarían del 2 de agosto de 2026 al 2 de diciembre de 2027. Los del Anexo I, los que van integrados como componentes de seguridad en productos ya regulados (maquinaria, dispositivos médicos, ascensores, juguetes, automoción), se moverían del 2 de agosto de 2027 al 2 de agosto de 2028.
La cosa es que ese aplazamiento no es un cheque en blanco. Viene atado a un mecanismo de condicionalidad: la aplicación se vincula a que la Comisión confirme la disponibilidad de los estándares y herramientas de apoyo necesarios. Si el trabajo de normalización avanza, las fechas se consolidan. Si se atasca otra vez, hay margen para un nuevo deslizamiento.
Dieciséis meses adicionales para el primer anexo suenan a mucho. En la práctica, para un sistema de cribado de candidaturas laborales que hay que documentar, someter a gestión de riesgos, dotar de supervisión humana significativa y registrar, dieciséis meses son un proyecto normal, no un regalo.
Hay un efecto secundario poco comentado: al separar ambos anexos por ocho meses, el paquete crea dos velocidades dentro de organizaciones que tienen los dos tipos de sistema. Un fabricante industrial con un sistema de mantenimiento predictivo embarcado y otro de selección de personal en recursos humanos tendrá que gestionar dos fechas distintas para el mismo marco de cumplimiento. Cuando en una misma organización convive un componente embarcado con una herramienta de recursos humanos, conviene revisar nuestro marco de trabajo para el cumplimiento del AI Act, que explica cómo sincronizar los dos frentes sin duplicar la gobernanza interna ni levantar dos expedientes técnicos paralelos.
Las obligaciones que no se movieron ni un solo día
Aquí está el quid que muchos resúmenes se saltan. Las prohibiciones del Capítulo II siguen vigentes desde febrero de 2025 y nadie ha propuesto tocarlas. El deber de alfabetización lleva aplicándose el mismo tiempo. Las obligaciones sobre modelos de propósito general arrancaron en agosto de 2025 y ahí siguen. La arquitectura de supervisión y el régimen de multas, idénticos.
Total, que si tu organización usa inteligencia artificial hoy (aunque sea un asistente de terceros para redactar correos o clasificar tickets) ya tienes obligaciones exigibles. Este punto lo desarrollamos con casos concretos, sin jerga y con ejemplos de organizaciones pequeñas, en el artículo donde desglosamos qué obliga el AI Act a una pyme, porque es la confusión número uno que nos llega por correo cada semana.
El cronograma vigente hoy, fecha por fecha
El calendario aplicable combina tramos ya exigibles desde 2025 con hitos futuros repartidos entre 2026 y 2028, más regímenes transitorios que alcanzan 2030. Los bloques ya vencidos son derecho firme; los posteriores a 2026 incorporan la reforma propuesta en noviembre de 2025, todavía en tramitación parlamentaria.
Esta es la tabla que usamos internamente, con la columna de estado que casi ninguna otra incluye:
| Fecha | Qué se activa | Estado |
|---|---|---|
| 1 ago 2024 | Entrada en vigor del reglamento | Firme |
| 2 feb 2025 | Prohibiciones y alfabetización en IA (art. 4) | Firme |
| 2 ago 2025 | Modelos de propósito general, gobernanza y sanciones | Firme |
| 2 ago 2026 | Aplicación general y transparencia (art. 50) | Firme, con ajustes propuestos |
| 2 dic 2026 | Marcado de contenido sintético y ampliaciones | Propuesto |
| 2 ago 2027 | Fin del transitorio para modelos ya en mercado | Firme |
| 2 dic 2027 | Sistemas del Anexo III | Propuesto |
| 2 ago 2028 | Sistemas del Anexo I | Propuesto |
| 2 ago 2030 | Sistemas públicos desplegados antes de 2026 | Firme |
2 de agosto de 2026: transparencia y artículo 50
El 2 de agosto de 2026 sigue siendo la fecha de aplicación general. El artículo 50 exige informar a las personas cuando interactúan con un sistema de IA, salvo que resulte evidente, y marcar los contenidos generados o manipulados artificialmente. Afecta a chatbots de atención, asistentes de voz, generadores de texto e imagen en flujos de marketing.
Nuestra recomendación práctica: trata esta obligación como un proyecto de producto, no de legal. En los tres despliegues que revisamos en 2025, el 80% del esfuerzo se fue en cambiar interfaces y no en redactar textos informativos.
2 de diciembre de 2026: marcado de contenido sintético y nuevas prohibiciones
Esta fecha nace de la propuesta de simplificación, que introduce un escalón intermedio para dar aire técnico al marcado legible por máquina de contenidos sintéticos. La idea de fondo: las especificaciones de marcas de agua y metadatos de procedencia no están maduras, así que se concede margen adicional frente al tramo general de agosto.
Si tu organización genera imagen, audio o vídeo sintético a escala, el trabajo real empieza antes: hay que decidir qué estándar de procedencia adoptas, verificar si tus proveedores lo soportan y comprobar que la marca sobrevive a los procesos de edición y compresión de tu cadena de publicación. Eso no se improvisa en un trimestre.
2 de agosto de 2027: transitorio GPAI y espacios controlados de pruebas
Los modelos de propósito general que ya estaban en el mercado antes del 2 de agosto de 2025 disfrutaron de dos años de adaptación. Ese margen se cierra aquí: desde esa fecha, todos los modelos comercializados en la Unión deben cumplir el Capítulo V sin distinción entre antiguos y nuevos.
Coincide, además, con el plazo en que los Estados miembros deben tener operativos sus espacios controlados de pruebas regulatorios. España va relativamente adelantada en este frente, aunque "adelantada" en contexto europeo significa tener el marco publicado y los primeros pilotos en marcha, no un sistema consolidado.
Y una advertencia para quien planifique con esta fecha: el transitorio no exime de las prohibiciones. Un modelo antiguo que habilitara puntuación social estaba prohibido desde febrero de 2025, sin periodo de gracia alguno.
2 de diciembre de 2027 y 2 de agosto de 2028: las dos puertas del Anexo III y del Anexo I
Diciembre de 2027 abre la primera puerta, la del Anexo III: clasificación por finalidad de uso. Reclutamiento, evaluación educativa, scoring crediticio, acceso a servicios públicos esenciales, biometría, gestión migratoria, aplicaciones en el ámbito judicial. Para el responsable del despliegue significa evaluación de impacto en derechos fundamentales cuando es entidad pública o prestador de servicios esenciales, supervisión humana efectiva, registro de eventos y transparencia hacia las personas afectadas.
Agosto de 2028 abre la segunda, la del Anexo I: componentes de seguridad de productos sometidos a legislación sectorial. Aquí el cumplimiento se integra en los procedimientos de evaluación de conformidad ya existentes, lo que en teoría simplifica y en la práctica obliga a que dos equipos que rara vez se hablan, calidad industrial y gobernanza de datos, trabajen sobre el mismo expediente técnico.
¿Ocho meses de diferencia entre ambas puertas te parecen poco? A nosotros nos parecieron poco hasta que hicimos el ejercicio de calendarizar un fabricante con catorce sistemas repartidos entre los dos anexos. Con la misma gente haciendo el trabajo, ese desfase se convierte en un solapamiento total.
Los plazos que casi ninguna guía incluye en su tabla
Hasta aquí, lo que encontrarás en cualquier resumen decente. Lo que viene ahora es donde se decide de verdad la planificación, y es la parte que llevamos año y medio explicando en reuniones porque no aparece en las infografías que circulan.
Sistemas ya desplegados: el régimen que se estira hasta 2030
El artículo 111 establece un tratamiento diferenciado para lo que ya estaba funcionando. Los sistemas de alto riesgo destinados a ser utilizados por autoridades públicas que se hubieran puesto en servicio antes del tramo general disponen de margen hasta el 2 de agosto de 2030 para adecuarse, siempre que no sufran cambios significativos en su diseño.
Existe un segundo régimen aún más largo: los componentes de IA integrados en los grandes sistemas de información europeos enumerados en el Anexo X (fronteras, visados, asilo) puestos en servicio antes del 2 de agosto de 2027 tienen hasta el 31 de diciembre de 2030.
Mira, lo que pasa es que ese "siempre que no sufran cambios significativos" es una bomba de relojería contractual. Actualizar el modelo subyacente, reentrenar con datos nuevos, ampliar la finalidad de uso: cualquiera de esas tres cosas puede convertir un sistema heredado en un sistema nuevo y desactivar el régimen transitorio de golpe. Lo hemos visto ya en dos pliegos públicos que exigían mejoras funcionales sin haber evaluado esa consecuencia.
Desde cuándo son exigibles las sanciones y con qué importes
Segunda confusión mayoritaria: mucha gente cree que las multas empiezan cuando empiezan las obligaciones del Anexo III. Falso. El régimen sancionador del artículo 99 es aplicable desde el 2 de agosto de 2025. Lo que ocurre es que solo puede sancionarse el incumplimiento de obligaciones que ya sean exigibles, y hasta 2026 el catálogo exigible era corto.
Las cuantías, en tres tramos:
- Prácticas prohibidas: hasta 35 millones de euros o el 7% de la facturación mundial
- Otras obligaciones del reglamento: hasta 15 millones o el 3%
- Información inexacta a las autoridades: hasta 7,5 millones o el 1%
Dos matices que cambian el cálculo de riesgo. Para pymes y startups se aplica el importe menor de los dos, no el mayor, lo que suaviza bastante el escenario. Y las multas específicas a proveedores de modelos de propósito general, reguladas en el artículo 101 con techo del 3% o 15 millones, quedan diferidas conforme al régimen de aplicación del reglamento hasta agosto de 2026, un año después del resto.
La capa española: AESIA y la ley nacional de gobernanza de la IA
Un reglamento europeo no necesita transposición, pero sí necesita quien lo aplique y con qué procedimiento. España creó la Agencia Española de Supervisión de la Inteligencia Artificial mediante el Real Decreto 729/2023, con sede en A Coruña, convirtiéndose en el primer Estado miembro con un organismo dedicado.
El 11 de marzo de 2025, el Consejo de Ministros aprobó en primera lectura el anteproyecto de ley para el buen uso y la gobernanza de la inteligencia artificial, que reparte competencias de vigilancia entre AESIA y los supervisores sectoriales ya existentes (la AEPD para biometría y datos personales, el Banco de España, la CNMV, el Consejo General del Poder Judicial en su ámbito) y concreta el procedimiento sancionador nacional.
Nuestra experiencia con clientes españoles apunta a algo incómodo: la fecha que más les afectará no es ninguna de las europeas, sino el día en que esa ley se publique en el BOE con su régimen procedimental. Porque es entonces cuando aparece un teléfono al que llamar y un expediente que puede abrirse.
Hacia dónde apunta la regulación después de 2028
Agosto de 2028 no es el final. El propio texto incorpora un mecanismo de revisión periódica que garantiza que este cronograma seguirá moviéndose durante la próxima década.
Revisiones, informes y cláusulas de evaluación previstas por la Comisión
La Comisión queda obligada a evaluar anualmente si conviene modificar la lista de prácticas prohibidas y la clasificación de los sistemas del Anexo III, y a presentar informes periódicos sobre el funcionamiento del conjunto ante el Parlamento y el Consejo. Se suman los mecanismos de revisión de las obligaciones para modelos de propósito general, un ámbito donde la tecnología se mueve más rápido de lo que cualquier legislador puede seguir.
Traducido: la lista de lo que resulta exigible en 2028 no será la misma que en 2031. Planificar sobre la foto actual y dar el trabajo por cerrado es el error que más caro va a salir.
Cómo montar un plan de cumplimiento que sobreviva a otro aplazamiento
Después del golpe de noviembre de 2025, reescribimos nuestra metodología. La idea central es sencilla y funciona: organiza el plan por capacidades internas, no por fechas externas. Las capacidades no caducan cuando Bruselas mueve una fecha.
El orden que aplicamos ahora, y que puedes copiar sin pedir permiso:
- Inventario vivo de sistemas, con proveedor y finalidad
- Clasificación por riesgo, revisada cada seis meses
- Registro documental de formación del personal
- Gestión de riesgos en los sistemas más críticos
- Cláusulas contractuales con proveedores de modelos
- Supervisión humana con trazabilidad documentada
Fíjate en que los cuatro primeros puntos sirven igual si el Anexo III llega en diciembre de 2027, en agosto de 2028 o en 2029. Ninguno depende de un estándar armonizado que todavía no existe. Y todos ellos reducen exposición desde el día uno, porque el inventario y la formación son exigibles ya.
¿Vale la pena adelantarse dos años a una fecha que puede volver a moverse? Solo si lo haces construyendo cosas que te sirven de todos modos: saber qué sistemas tienes, quién los usa y qué decisiones toman. Eso no es cumplimiento normativo, es gestión elemental. Que además te cubra ante un inspector en 2028 es el premio secundario, no el objetivo.
Preguntas frecuentes
¿Cuándo entra en vigor el AI Act?
El reglamento entró en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial el 12 de julio de 2024. Entrar en vigor no equivale a ser aplicable: sus obligaciones se activan por tramos desde febrero de 2025 y hasta 2030.
¿Qué obligaciones se aplican ya en 2026?
Están plenamente exigibles las prohibiciones del Capítulo II y la alfabetización en IA del artículo 4 (desde febrero de 2025), las obligaciones para modelos de propósito general, la gobernanza y el régimen sancionador (desde agosto de 2025) y la transparencia del artículo 50 desde el 2 de agosto de 2026.
¿Cuáles son las sanciones y desde cuándo se aplican?
El régimen del artículo 99 es aplicable desde el 2 de agosto de 2025, aunque solo alcanza a obligaciones que ya sean exigibles. Los topes son 35 millones de euros o el 7% de la facturación mundial por prácticas prohibidas, 15 millones o el 3% por otras infracciones y 7,5 millones o el 1% por información inexacta.
¿Qué diferencia hay entre el Anexo I y el Anexo III?
El Anexo III recoge sistemas clasificados por su finalidad de uso (empleo, crédito, educación, biometría, justicia, migración) y su fecha propuesta es el 2 de diciembre de 2027. El Anexo I recoge la IA integrada como componente de seguridad en productos ya regulados, con fecha propuesta el 2 de agosto de 2028 y conformidad canalizada por la legislación sectorial.